VPN adresą įtraukėte į baltąjį sąrašą, o vis tiek blokuoja? Atsekite jį

VPN programos rodomo adreso įtraukimas į baltąjį sąrašą retai ištaiso užblokuotą prievadą, o paketas paaiškina kodėl. Užkarda nepaiso jūsų taisyklės; ji vertina šaltinio adresą, kurio niekas kliento ekrane nerodo. Kol paskirties vieta nepateiks šios reikšmės, kiekvienas taisyklės pakeitimas yra spėjimas.

Pradėkite nuo užklausos, kuri pasiekia paslaugą. Tunelio adresas, išėjimo adresas ir bet koks vertimas tarp jų lieka hipotezėmis, kol paskirties vieta patvirtins vieną iš jų.

Programoje rodomas adresas nėra tas, kuris atvyksta

VPN ryšys neša bent keturis adresus, kuriuos verta pavadinti atskirai: serverio galinį tašką, jūsų klientui priskirtą vidinį tunelio adresą, vietinį Wi-Fi arba Ethernet adresą ir viešą adresą, kurį svetainė mato po to, kai srautas palieka tiekėją. Kliento langas gali rodyti tik antrąjį. Pavadinkite visus keturis prieš pavadindami taisyklę. Naudojant skaidytą tunelį, užklausos į viešą paskirties vietą gali visiškai apeiti tunelį, todėl nepavykusi sesija nėra ta, kurią vartotojas mano pradėjęs.

Nuspręskite, kurį iš šių keturių taisyklė turi leisti, tada patikrinkite jį iš kitos pusės. Jei reikalavimas iš tiesų yra biuro adresas, sąlyga yra maršrutas ir tos svetainės išėjimo tvarka, o ryšys su žyme Office VPN pats savaime nesuteikia nė vieno iš jų.

Atsekite vieną užklausą iki jos filtravimo ribos

Patvirtinkite paskirties adresą ir prievadą, kuriuos naudoja klientas, tada patikrinkite, ar ši paskirties vieta eina jūsų numatytu keliu. Paskelbtas konteinerio prievadas, atvirkštinis tarpinis serveris ar prievado peradresavimas gali perkelti sprendimą į prieglobos serverį, kurio niekada nekeitėte. Kiekvienas iš šių šuolių gali turėti savo politiką. Kelio nustatymas pirmiausia apsaugo jus nuo taisyklės, kurios nepasiekia joks paketas, taisymo.

Autorizuotame Linux prieglobos serveryje prieš keisdami perskaitykite galiojančias taisykles eilės tvarka. Peradresuotos ir konteinerių paslaugos dažnai peršoka į savo grandinę, todėl patikrinkite ir šuolio tikslą, ir galutinį nuosprendį.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Biliete nurodykite atitinkančios taisyklės numerį. Be jo kitas skaitytojas negali sužinoti, kuris pakeitimas pakeitė rezultatą. Taisyklės numeris be laiko žymos vis dar dviprasmiškas.

Patikrinkite kelią vienu apribotu įrašu

Viena nekenksminga užklausa ir vienas siauras įrašas išsprendžia klausimą, kuris nuolat grįžta. Filtruokite pagal paskirties prievadą ir tiriamą prieglobos serverį, apribokite paketų skaičių ir sustabdykite įrašą, kai tik užklausa baigsis.

tcpdump -ni any 'tcp dst port 9443' -c 20

Palyginkite tris reikšmes greta: šaltinį įraše, šaltinį, kurį nurodo atitinkanti taisyklė, ir atmetimą, kurį užregistravo programa. Visi jie gali skirtis, ir tik pirmasis paaiškina kritimą, kurį nulėmė IP taisyklė. Peradresuota HTTP antraštė priklauso tarpinio serverio sluoksniui, todėl žurnalas, kuriame cituojama ši antraštė, neaprašo šaltinio, kurį įvertino užkarda.

Skaitykite grandinės tvarką, ne tik taisyklę

iptables informacija dokumentuoja tvarkingą ėjimą, todėl leidimas, esantis žemiau atitinkančio galutinio atmetimo, niekada neišgelbsti paketo. Anksčiau priimtas ryšys taip pat gali elgtis kitaip nei naujas, todėl sena sėkmė nieko nesako apie naują taisyklę. Raskite atmetimą ar kritimą virš savo leidimo, prieš manydami, kad leidimas neteisingas. Skaitikliai pagal taisyklę taip pat pasako, kuri taisyklė matė paketą.

Taisyklės ištrynimas norint pamatyti, kas atsitiks, yra pakeitimas, o ne stebėjimas. Perskaitykite skaitiklius, užsirašykite taisyklės numerį ir išsaugokite pradinę politiką pakeitimų žurnale. Jei bandymas neišvengiamas, atlikite jį grandinės kopijoje.

Pakeiskite taisyklę, kurią kontroliuoja jos savininkas

Atnaujinkite tik numatytą šaltinio ir paslaugos politiką, per tą, kam ji priklauso. Bendras išverstas išėjimas gali atstovauti daugeliui vartotojų vienu metu, todėl to adreso leidimas nieko neautentifikuoja, o programos leidimai už jo lieka ten, kur yra.

Kai adresas nuolat juda, ilgalaikis atsakymas yra stabilus išėjimas arba autentifikuotas kanalas, o ne ilgesnis išimčių sąrašas. Užrašykite stebimą šaltinį, paskirties prievadą ir taisyklės numerį.